Data dari 2,6 juta pengguna Duolingo bocor ke publik.

Duolingo adalah situs web dan aplikasi pembelajaran bahasa terbesar di dunia , dengan lebih dari 74 juta pengguna bulanan. Menurut Bleeping Computer, kebocoran data pribadi pengguna Duolingo dapat memungkinkan peretas untuk melakukan serangan phishing yang ditargetkan.

Pada Januari 2023, sebuah akun di forum peretas menjual data yang dikumpulkan dari 2,6 juta pengguna Duolingo seharga $1.500; forum tersebut sejak itu telah berhenti beroperasi.

Data ini mencakup informasi login, nama asli, serta informasi non-publik, termasuk alamat email dan informasi internal yang terkait dengan layanan Duolingo. Meskipun profil pengguna Duolingo menampilkan nama asli dan nama login secara publik, alamat email dirahasiakan.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 1. — Iklan tersebut menawarkan penjualan 2,6 juta data pengguna Duolingo seharga $1.500.

Duolingo mengkonfirmasi kepada TheRecord bahwa data yang dikumpulkan dan dijual diambil dari profil publik, dan layanan tersebut sedang menyelidiki apakah perlu mengambil tindakan pencegahan. Namun, Duolingo tidak menyebutkan fakta bahwa alamat email juga tercantum dalam data tersebut.

Data dari 2,6 juta pengguna dirilis kemarin di versi baru forum peretas hanya dengan harga $2,13. Data ini dikumpulkan menggunakan antarmuka pemrograman aplikasi (API) yang dibagikan secara publik sejak Maret 2023.

API Duolingo ini memungkinkan orang untuk memberikan akses ke informasi profil publik pengguna. Namun, dimungkinkan juga untuk memberikan alamat email ke API dan memverifikasi apakah alamat tersebut terhubung ke akun Duolingo.

BleepingComputer menyatakan bahwa API ini tetap tersedia untuk umum bahkan setelah penyalahgunaannya dilaporkan ke Duolingo pada bulan Januari.

Ada kemungkinan bahwa peretas memasukkan jutaan alamat email—yang mungkin bocor dalam pelanggaran data sebelumnya—ke dalam API untuk melihat apakah alamat tersebut milik akun Duolingo. Alamat email ini kemudian digunakan untuk membuat kumpulan data yang berisi informasi publik dan non-publik.

Dữ liệu 2,6 triệu người dùng Duolingo bị phát tán công khai - Ảnh 2. — Peretas mengunggah ulang data 2,6 juta pengguna Duolingo dengan harga yang sangat murah.

Perusahaan cenderung membuang data yang telah dikumpulkan, karena sebagian besar data tersebut sudah tersedia untuk umum. Namun, ketika data yang tersedia untuk umum dicampur dengan data pribadi seperti nomor telepon dan alamat email, hal itu membuat kebocoran informasi menjadi lebih berisiko dan berpotensi melanggar undang-undang perlindungan data.

Pada tahun 2021, Facebook mengalami kebocoran data besar-besaran setelah API "Tambah Teman" disalahgunakan untuk menghubungkan nomor telepon ke akun Facebook dari 533 juta pengguna. Komisi Perlindungan Data Irlandia (DPC) mendenda Facebook sebesar €265 juta ($275,5 juta) karena menyebabkan kebocoran data ini. Baru-baru ini, celah dalam API Twitter digunakan untuk mengakses data dan alamat email jutaan pengguna yang tersedia untuk umum, yang menyebabkan penyelidikan oleh DPC. Duolingo belum menjelaskan mengapa mereka membiarkan API ini dapat diakses publik meskipun ada laporan penyalahgunaan.

Tautan sumber